Ciberseguridad en logística: protege tu WMS, TMS y proveedores

Un WMS y un TMS no solo mueven mercancía: concentran datos de clientes, tarifas, rutas, inventarios y, cada vez más, conexiones directas con los sistemas de proveedores, navieras y clientes finales.

Esa interconexión —la misma que hace posible la visibilidad de la que hablamos en artículos anteriores sobre torres de control logística— es también lo que multiplica las puertas de entrada para un atacante. Invertir en tecnología es, como señalamos en nuestras 8 claves logísticas para optimizar la cadena de suministro, una de las decisiones con mayor retorno; pero esa misma inversión exige proteger lo que se construye sobre ella.

Tres factores hacen especialmente atractiva a la logística para un atacante:

📦 Presión por continuidad operativa.
Una empresa que no puede procesar embarques pierde dinero cada hora, lo que la hace más propensa a pagar un rescate con tal de reanudar operaciones cuanto antes.

🔗 Cadenas de proveedores extensas.
Un WMS o TMS rara vez opera solo: se conecta con transportistas, agentes aduanales, navieras y sistemas de clientes. Cada conexión es una puerta adicional que la empresa no controla directamente, aunque sí la sufre si algo sale mal del otro lado.

🏭 Convivencia de sistemas administrativos y equipo físico.
En almacenes automatizados, las computadoras de oficina conviven en la misma red —o muy cerca— del equipo que mueve la mercancía físicamente: bandas transportadoras, sistemas de picking automatizado, sensores. Un correo malicioso abierto en una computadora administrativa puede terminar afectando ese equipo si ambos mundos no están bien separados.

Paso 1: Entiende qué maneja realmente cada sistema

Antes de proteger algo, hay que saber qué existe:

• Un WMS suele manejar inventarios, ubicaciones, datos de proveedores y, en operaciones automatizadas, conexión directa con equipo físico.
• Un TMS maneja rutas, tarifas, datos de clientes y, con frecuencia, integraciones con sistemas externos de navieras, transportistas y aduanas.

Para cada sistema conviene tener claro:

🔍 Qué información sensible almacena (datos de clientes, tarifas comerciales, ubicaciones de inventario).

🔌 Con qué otros sistemas se conecta, internos y externos.

🏭 Si tiene alguna interacción con equipo físico (bandas, sensores, sistemas de picking).

👤 Quién tiene acceso, y con qué nivel de privilegios.

Suena obvio, pero es sorprendente cuántas empresas no tienen esta lista escrita en ningún lado. Sin ella, es imposible proteger nada con criterio, y mucho menos auditar a un proveedor.

Paso 2: Separa lo administrativo de lo que mueve la mercancía físicamente

Si el almacén tiene equipo automatizado —bandas, robots de picking, sistemas de clasificación—, ese equipo debería vivir en una red separada de la que usan el correo electrónico, el ERP o las computadoras del personal administrativo. No es una recomendación exagerada: es la diferencia entre que un ataque de phishing arruine una tarde de trabajo, o termine deteniendo una banda transportadora.

Lo mínimo razonable es que cualquier conexión entre ambas redes pase por un punto controlado —un firewall bien configurado, por ejemplo— y que nada se permita “por default”.

Paso 3: Sé más estricto de lo habitual con los accesos

La mayoría de los incidentes no empiezan con un ataque sofisticado, sino con una contraseña débil o reutilizada. 4 medidas que cuestan poco y rinden mucho:

🔑 Contraseñas largas (quince caracteres o más rinde mejor que exigir símbolos raros que la gente olvida).

🔒 Verificación en dos pasos para cualquier acceso remoto al WMS o al TMS, sobre todo para proveedores externos y personal de mantenimiento.

👤 Cuentas separadas para tareas administrativas y tareas del día a día, para que nadie use un usuario con privilegios de administrador solo para revisar su correo.

🚪 Dar de baja los accesos el mismo día en que alguien deja de trabajar con la empresa, sin esperar al “después lo hago”.

Ninguna de estas medidas requiere un equipo grande de TI. Son, de hecho, las más accesibles de todas.

Paso 4: Exige a tus proveedores tecnológicos lo mismo que te exiges a ti

Un WMS o TMS en la nube depende de un proveedor externo; ese proveedor, a su vez, puede depender de otros. Tratar esa cadena como parte del propio riesgo —y no como “problema de alguien más”— cambia por completo la conversación con un proveedor tecnológico. En la práctica, esto significa pedir por escrito:

📋 Que el proveedor avise de cualquier incidente de seguridad confirmado en un plazo claro, no “cuando pueda”

📋 Que también avise cuando descubra una vulnerabilidad en su propio software

📋 Que la seguridad forme parte de la decisión al elegir o renovar un proveedor, no solo el precio y las funciones

📋 Que quede claro por escrito qué le toca proteger al proveedor y qué le toca a la empresa, especialmente en soluciones en la nube

Paso 5: Prepárate para detectar y reaccionar, no solo para prevenir.

Nadie puede prometer prevención perfecta; toda empresa seria asume que, tarde o temprano, algo va a fallar. Lo que marca la diferencia es qué tan rápido se detecta y qué tan claro está el plan de reacción:

📊 Registrar los accesos y los intentos fallidos de inicio de sesión en el WMS y el TMS, en un solo lugar que alguien realmente revise.

📝 Tener un plan de respuesta a incidentes escrito y probado, con claridad sobre quién decide aislar un sistema si hay sospecha de algo raro.

🔔 Saber a quién se avisa, en qué orden y en qué plazo, si el incidente involucra datos de clientes o proveedores.

Contar con visibilidad centralizada de la operación —el mismo principio detrás de las alertas logísticas en tiempo real que ya se usan para anticipar retrasos— también ayuda a detectar más rápido un comportamiento extraño en los sistemas.

Un ataque que tumba el WMS o el TMS es, en el fondo, el mismo tipo de interrupción que debería cubrir el Plan B logístico de la empresa: si tu plan de contingencia solo contempla rutas alternas y no una caída de sistemas, tiene un punto ciego importante.

Paso 6: Ten respaldos que ya probaste, no solo respaldos que existen.

Esto se descuida más de lo que parece: no basta con tener copias de seguridad, hay que haberlas restaurado alguna vez para comprobar que sirven. Un respaldo del WMS que nadie ha probado puede fallar justo cuando más se necesita.

Como regla general: respalda los sistemas críticos con regularidad, guarda esas copias en un lugar separado del sistema original, y haz una prueba real de restauración al menos una vez al año.